您如何颁发受信任的自签名证书？

Question

哪个 CA 商店提供允许您签署自己的 SSL 证书的产品？（例如命名为子域）有任何可行的替代方案吗？

附加信息：

我们正在将具有安全 Web 界面的产品部署到不同客户位置的大量安装中。客户端用户将从任何普通的 Web 浏览器访问他们的门户。由于更换/更新已提交的这些证书是不可行的，因此十年或更长时间的长到期日是理想的。

可能的选项（和缺点）：
- 使用自签名证书（用户将看到浏览器错误/警告） - 使用通配符或多 cn 证书。（由于 PK 在不信任的客户端之间共享，因此安全性较低） - 成为链式证书颁发机构并签署证书（昂贵） - 为每次安装购买个人/批量证书（昂贵且繁琐）

Answer 1

这取决于您具体要求什么。如果您希望能够创建和撤销自己的受浏览器信任的证书（即来自已建立的 CA），那么您应该寻找为您提供托管 PKI 访问权限的提供商。我知道 Thawte 和 Verisign 都提供此服务。

如果您想创建链接到受信任 CA 的证书供其他人使用，有一些提供商可以这样做，但成本很高。

另一方面，如果您想要创建供自己内部使用的证书，并且想要创建自己的 CA 并手动导入到浏览器中，则可以仅使用 OpenSSL 来完成此操作。